---

📍 Riepilogo del Rapporto

[!IMPORTANT] Questo rapporto è intenzionalmente anonimizzato per la pubblicazione pubblica su GitHub. Identificatori sensibili, credenziali, valori dell'infrastruttura e prove specifiche del cliente sono sostituiti con segnaposto chiari.

🧭 Navigazione Rapida

• Sommario Esecutivo
• Analisi Tecnica
• Impatto
• Remediation
• Lezioni Apprese e Strategia di Mitigazione

[!TIP] Per una rapida consultazione, inizia con le sezioni Sommario Esecutivo e Impatto. Per approfondimenti tecnici, prosegui con Analisi Tecnica e Remediation.

🏷️ Titolo

CVE-2026-36214 - XSS Memorizzato in osTicket tramite Bootstrap Tooltip

---

🧾 Sommario Esecutivo

Una vulnerabilità di tipo Cross-Site Scripting (XSS) Memorizzato nel sistema di ticketing osTicket (versioni 1.10 fino a 1.17.7 e 1.18.0 fino a 1.18.3), originata dall'utilizzo del componente Bootstrap Tooltip 3.3.4 affetto dalla vulnerabilità CVE-2019-8331.

Questa vulnerabilità consente a un utente normale (non autenticato al momento della creazione del ticket) di iniettare codice JavaScript dannoso nel messaggio del ticket. Quando questo messaggio viene visualizzato da un Agente o da un Amministratore, il codice viene eseguito nel contesto della loro sessione, permettendo il furto della sessione e il controllo completo del sistema di ticketing.

---

🔬 Analisi Tecnica

La debolezza è stata valutata dal punto di vista della sicurezza applicativa e del rischio infrastrutturale. Il problema principale è classificato come XSS Memorizzato ed è stato documentato in forma anonimizzata, adatta alla pubblicazione su portfolio pubblico.

osTicket è un sistema di ticketing open source ampiamente utilizzato nelle organizzazioni. Consente agli utenti di caricare contenuti HTML e file allegati all'interno dei ticket.

---

📊 Impatto

• Esecuzione di script controllati dall'attaccante nelle sessioni di utenti fidati.
• Abuso di sessione, azioni non autorizzate e esposizione reputazionale per portali destinati ai clienti.

---

🛠️ Remediation

---

🧠 Lezioni Apprese e Strategia di Mitigazione

• Considera ogni confine di integrazione come non fidato, specialmente quando la logica applicativa inoltra valori controllati dall'utente a filesystem, shell, parser o strumenti esterni.
• Le revisioni di sicurezza dovrebbero convalidare l'intera catena di sfruttamento, non solo il primo endpoint vulnerabile; configurazioni a bassa gravità possono diventare critiche se concatenate.
• La documentazione pubblica dovrebbe descrivere il rischio, la causa principale e la remediation senza esporre identificatori operativi, credenziali o artefatti di sfruttamento riutilizzabili.
• I controlli difensivi dovrebbero combinare validazione preventiva, privilegio minimo in esecuzione, telemetria e governance delle patch per ridurre sia la sfruttabilità che il raggio d'esplosione.

---

🧼 Note sull'Anonimizzazione per la Pubblicazione

• Identificatori sensibili dell'infrastruttura, indirizzi IP, hostname, credenziali, hash e indirizzi email sono stati sostituiti con segnaposto espliciti.
• Le prove operative riutilizzabili sono state ridotte al minimo o astratte per mantenere il documento adatto alla pubblicazione pubblica su GitHub.
• Il documento utilizza una struttura da consulente, allineata con le pratiche comuni di reportistica dei test di sicurezza web come le aspettative di reporting OWASP WSTG.

---